Node.js veröffentlicht Sicherheitsupdates für zehn Schwachstellen, vier davon als hoch eingestuft
in einfachen worten
Node.js ist ein Werkzeug, mit dem Entwickler Websites und Apps betreiben. Die Entwickler haben Updates veröffentlicht, die zehn Sicherheitslücken schließen. Die gefährlichste davon könnte es einem Angreifer erlauben, schädlichen Code auf einem Computer auszuführen.
Ausführliche Zusammenfassung
Node.js hat Sicherheitsupdates für seine Zweige 26.x, 24.x und 22.x veröffentlicht, um zehn Schwachstellen zu schließen. Die Veröffentlichungshinweise nennen 26.12.1, 24.22.1 und 22.23.4 als gepatchte Versionen. Die Veröffentlichungen waren für den 21. Oktober 2026 angesetzt. Vier der Lücken sind als hoch eingestuft, der höchste Wert über alle drei Zweige hinweg.
Das ernsthafteste mögliche Ergebnis ist die Ausführung von Remote-Code über den Brotli-Decoder, erfasst als CVE-2026-111497. Die Warnmeldung beschreibt einen Schreibzugriff außerhalb der Grenzen, was bedeutet, dass der Decoder außerhalb seines vorgesehenen Speicherbereichs schreiben kann. Anwendungen, die nicht vertrauenswürdige Brotli-komprimierte Inhalte verarbeiten, sollten bei der Planung der Patches besonders aufmerksam sein. Die Mitteilung erläutert nicht die genauen Bedingungen, die für eine Ausnutzung nötig sind.
Zwei Probleme mit hohem Schweregrad betreffen die Prüfung von Hostnamen bei TLS-Zertifikaten. CVE-2026-105483 erlaubt eine Umgehung der Hostnamenprüfung, wenn eine IP-Adresse Vollbreiten-Ziffern verwendet; betroffen sind die Zweige 26.x und 24.x. CVE-2026-106069 betrifft Hostnamen, die lose zu einer IP-Adresse aufgelöst werden, und gilt für alle drei Zweige. Beide berühren die Frage, ob ein Zertifikat das beabsichtigte Ziel korrekt abbildet.
Die vierte Lücke mit hohem Schweregrad, CVE-2026-105482, führt dazu, dass dns.resolve Namen mit einem NUL-Zeichen abschneidet. Die Schwachstelle betrifft alle drei Release-Linien und wirft Fragen für Anwendungen auf, die auf eine einheitliche Namensbehandlung vor DNS-Abfragen angewiesen sind. Die Korrekturen folgen früheren Patches für Umgehungen der TLS-Authentifizierung in Node.js.
Drei Probleme mit mittlerem Schweregrad wurden ebenfalls behoben. CVE-2026-105481 erlaubt einem Keep-Alive-Socket, eine Antwort zu verarbeiten, die geschrieben wurde, bevor die Anfrage gesendet wurde. CVE-2026-106072 betrifft die unzureichende Zertifikatsprüfung bei nicht standardmäßigen IPv4-Hostnamen. CVE-2026-106074 betrifft zwischengespeicherte Zufallsdaten in Startup-Snapshots und Single-Executable-Anwendungen, die Werte wiederholen können, die von crypto.randomUUID() und crypto.randomInt() zurückgegeben werden.
Die übrigen Probleme sind niedrig eingestuft. CVE-2026-106070 betrifft Bytes, die ein Angreifer nach fehlgeschlagenen ZIP-Header-Prüfungen zurückbekommt, und CVE-2026-106071 kann über Wildcard-Abgleich übermäßigen Dateisystemzugriff gewähren; beide betreffen 26.x. CVE-2026-106073 umgeht die Prüfungen des Permission Model über fs.realpathSync in allen drei Zweigen.
Das Projekt rät Administratoren, die passende gepatchte Version einzuspielen, Anwendungs-Images bei Bedarf neu zu bauen und betroffene Dienste neu zu starten. Es warnt, dass End-of-Life-Zweige auch nach Sicherheitsveröffentlichungen betroffen bleiben, sodass der Wechsel auf einen unterstützten Zweig Teil der Behebung ist.